DHCPと固定IP、セキュリティ的には動的の方がいいらしいんですけど。

最近、また新しく知ったことがある。

どうやら、IPアドレスは「固定しておけばいい」という時代でもないらしい。

DHCPで自動的にIPアドレスを割り当てる。

場合によっては、固定IPよりも動的に変わるほうが、運用上もセキュリティ上も都合がいい。

……という話を見かけた。

最初に言っておくと、これは「DHCPにすれば安全」という単純な話ではない。

社内LANなら、普通はルーターのNAT配下にある。

外から、

「192.168.1.23のパソコンを狙おう」

なんて簡単にできるわけではない。

だから、社内PCのプライベートIPを固定からDHCPに変えただけで、外部からの攻撃に対して劇的に強くなる、という話ではない。

そこは分かっている。

分かっているんだけれど。

それでも、対策項目がどんどん増えていく

例えば、スマホのMACアドレス。

最近のスマホには、Wi-Fi接続時にMACアドレスをランダム化する仕組みがある。

これはちゃんと意味がある。

同じMACアドレスをずっと使っていると、Wi-Fiの電波を観測できる人から、同じ端末を長期間追跡される可能性がある。

だから、MACアドレスをランダム化して、追跡されにくくする。

なるほど。

これは分かる。

AndroidでもMACランダム化が標準的に使われているし、AppleもプライベートWi-Fiアドレスとして同じような考え方を採用している。

さらにIPv6になると、アドレスの数がものすごく増える。

IPv6の一般的なサブネットは、理論上とんでもない数のアドレスを持てる。

そのため、IPv4のようにアドレスを片っ端から総当たりして探すのが難しくなる。

これも理屈としては分かる。

はい。

分かります。

全部、理屈は分かるんです。

でも、社内LANを管理する側としては固定IPが楽なんです

私が管理する側だったら、

「192.168.1.1は山田さん」

「192.168.1.2は佐藤さん」

「192.168.1.3は鈴木さん」

と表にしておきたい。

トラブルが起きたときも、

「192.168.1.2で何か起きています」

と言われれば、

「ああ、佐藤さんね」

と分かる。

もちろんDHCPにもメリットはある。

端末を追加するときに手動設定しなくていい。

IPアドレスの重複も避けやすい。

管理の手間を減らすという意味では、むしろDHCPのほうが楽な場面も多い。

DHCP予約などを使えば、「自動管理しながら特定の端末には同じIPを割り当てる」というやり方もできる。

だから、

「固定IPが正義」

と言いたいわけでもない。

ただ、管理者の頭の中では、

「このIPは誰のパソコン」

が一発で分かるほうが楽なのだ。

ここは完全に管理者側の都合である。

そして昨日、MTUという言葉が増えた

そんなことを考えていたら、昨日もネットワークでトラブルが起きた。

ネットワークを切り替えたら、あるクラウド会計アプリだけ使えなくなった。

インターネットにはつながっている。

他のサイトも見られる。

なのに、そのアプリだけダメ。

こういうのが一番嫌だ。

「ネットワークが死んでいる」なら分かる。

「ネットワークは生きているのに、このサービスだけ死んでいる」

となると、急に難しくなる。

調べていくと、どうやらMTUが関係していた。

MTUというのは、簡単に言えば、1回の通信で送れるデータサイズの上限みたいなもの。

大きければいいというわけでもなく、途中のネットワークがもっと小さいサイズしか扱えなければ、通信に問題が出ることがある。

今回の環境では、ネットワークの切り替えによって、このあたりの条件が変わってしまったらしい。

そして、

「PPPoEならMTUも気にしないといけない」

ということを、また一つ覚えた。

……また新しい言葉が増えた。

リスクより、勉強項目の増え方が怖い

ここで言いたいのは、

「セキュリティなんて必要ない」

という話ではない。

実際、ランサムウェアなどの被害もあるし、変なリンクや添付ファイルを開かない、OSを更新する、バックアップを取る、といった基本的な対策は必要だと思う。

ただ、総務として社内LANまで見ていると、ちょっと不思議な感覚になる。

今の環境はNAT配下になっていて、外部から社内PCを直接狙うのは簡単ではない。

それでも、

DHCP。

MACアドレスのランダム化。

IPv6。

MTU。

PPPoE。

そして、まだ知らない何か。

と、勉強することだけは次々に増えていく。

しかも、セキュリティの世界は「これをやったら終わり」ではない。

新しい技術が出れば、新しい注意点も出てくる。

ネットワークを少し変更しただけで、今まで動いていたクラウドサービスが動かなくなることもある。

安全にするための技術を覚えたら、今度はその技術が原因でトラブルが起きる。

なんだか、ちょっと面白い。

いや。

やっぱり、ちょっとしんどい。

次の名刺には何を書こう

最近、仕事の範囲がよく分からなくなってきた。

総務なのに、

PCを設定して。

Google Workspaceを触って。

ネットワークを見て。

IPアドレスを管理して。

DHCPを調べて。

MACアドレスを調べて。

IPv6を勉強して。

昨日はMTUとPPPoEを調べていた。

ここまで来ると、もう、

「総務部」

だけでは少し足りない気がする。

次に名刺を発注するときは、

総務部
＋ 情報システム
＋ 社内SE

くらい、勝手に付け足して発注したくなってきたmasaでした。